Hologres:Hologres でのデータの暗号化

制限事項

• Hologres V1.1 以降のみがストレージのデータ暗号化をサポートしています。Hologres インスタンスのバージョンが V1.1 より前の場合は、Hologres コンソールで Hologres インスタンスを手動でスペックアップするか、Hologres DingTalk グループに参加してインスタンスのスペックアップを申請してください。Hologres インスタンスを手動でスペックアップする方法の詳細については、「インスタンスのスペックアップ」をご参照ください。Hologres DingTalk グループへの参加方法の詳細については、「Hologres のオンラインサポートの利用」をご参照ください。

• Hologres インスタンスのバージョンが V1.3.31 より前の場合、ストレージのデータ暗号化を使用する前にバックエンド構成を追加する必要があります。Hologres インスタンスのバージョンが V1.3.31 以降の場合、バックエンド構成を追加する必要はありません。ストレージのデータ暗号化を使用する場合は、Hologres インスタンスを V1.3.31 以降にスペックアップすることをお勧めします。詳細については、「インスタンスのスペックアップ」をご参照ください。

• KMS でのカスタマーマスターキー (CMK) の無効化や削除などの操作は、Hologres でのデータの暗号化または復号に影響を与える可能性があります。Hologres は過去の構成をキャッシュします。KMS での操作は 24 時間以内に遅れて有効になります。

• ストレージのデータ暗号化が有効になっている場合にのみ、ストレージのデータを暗号化できます。この機能が有効になる前に作成されたテーブルのデータは、ストレージ用に暗号化できません。

• データ暗号化機能が有効になった後でも、データの読み取りと書き込みのために MaxCompute に Hologres 外部テーブルを作成できます。

• データ暗号化機能が有効になった後、次の SQL 文を使用してデータベースのデータ暗号化を無効にできます。この機能が無効になる前に作成されたテーブルのデータは引き続き暗号化されます。この機能が無効になった後に作成されたテーブルのデータのみが、ストレージ用に暗号化できなくなります。

  ALTER DATABASE <database_name> set hg_experimental_encryption_options='';

• データ暗号化機能が有効になった後、テーブルの KMS キーが無効または不正である場合、そのテーブルへのデータの読み取りまたは書き込みはできません。

• Hologres V2.0 以降では、テーブルごとにデータ暗号化ルールを構成できます。テーブルごとに異なる KMS キーを構成できます。

• データ暗号化機能は、列指向テーブルまたは行列表ストレージモードの列指向テーブルに対してのみ有効にできます。データ暗号化機能が有効になった後でも、データの読み取りと書き込みのために MaxCompute に Hologres 外部テーブルを作成できます。列指向テーブルまたは行列表ストレージモードの列指向テーブルのデータのみが暗号化できます。

データ暗号化のメカニズム

手順

1. カスタムポリシーを作成します。

   1. Resource Access Management (RAM) コンソールにログインします。左側のナビゲーションウィンドウで、[権限] > [ポリシー] を選択します。[ポリシー] ページで、[ポリシーの作成] をクリックします。

      

   2. [ポリシーの作成] ページで、[JSON] をクリックします。JSON タブで、コードエディタに次のスクリプトを入力し、[名前] を AliyunHologresEncryptionDefaultRolePolicy に設定します。

      

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt",
                      "kms:GenerateDataKey",
                      "kms:DescribeKey"
                  ],
                  "Resource": "acs:kms:*:*:*/*",
                  "Effect": "Allow"
              }
          ]
      }

   3. [OK] をクリックします。カスタムポリシーが作成されます。

2. RAM ロールを作成し、RAM ロールに権限を付与します。

   1. RAM コンソールにログインします。左側のナビゲーションウィンドウで、[ID] > [ロール] を選択します。

   2. [ロール] ページで、[ロールの作成] をクリックします。[ロールの作成] ページで、[プリンシパルタイプ] を [クラウドサービス] に、[プリンシパル名] を [Hologres] に設定します。

   3. [OK] をクリックします。ダイアログで、[ロール名] フィールドに AliyunHologresEncryptionDefaultRole を入力し、[OK] をクリックします。

   4. ロールの詳細ページで、[権限の付与] をクリックします。

   5. [権限の付与] パネルで、[リソーススコープ] を [アカウント] に設定します。[ポリシー] には、ステップ 1 で作成したカスタムポリシー AliyunHologresEncryptionDefaultRolePolicy を選択します。

   6. [権限の付与] をクリックします。

      ロールの詳細ページで、[信頼ポリシー] タブをクリックして、信頼ポリシーの設定を確認します。

3. CMK を作成します。

   詳細については、「キーの概要」をご参照ください。

   重要

   Hologres は、Aliyun_AES_256 タイプの対称キーのみをサポートしています。

4. データベースのデータ暗号化を有効にします。

   1. データ暗号化を有効にするデータベースにログインします。データベースへのログイン方法の詳細については、「データベースへのログイン」をご参照ください。

   2. [アドホッククエリ] タブで、[インスタンス] ドロップダウンリストからデータベースが属するインスタンスを選択し、[データベース] ドロップダウンリストからデータベースを選択します。SQL エディターに次の文を入力し、[実行] をクリックします。

      この SQL 文は、データベースのデータ暗号化を有効にするために使用されます。

      ALTER DATABASE <db_name> SET hg_experimental_encryption_options='<encryption_type>,<cmk_id>,<ram_role>,<uid>';

      次の表に、上記の構文のパラメーターを説明します。

      パラメーター	説明
      db_name	データ暗号化を有効にするデータベースの名前。
      encryption_type	データの暗号化に使用する暗号化アルゴリズム。有効な値: AES-256、AES-CTR、および RC4。
      cmk_id	CMK の ID。KMS コンソールの CMK 詳細ページで CMK の ID を取得できます。
      ram_role	Hologres に割り当てられている RAM ロール。
      uid	Alibaba Cloud アカウントの ID。詳細については、「アカウント ID」をご参照ください。

   次のサンプル文は、データベースのデータ暗号化を有効にし、データベースにテーブルを作成してデータを書き込み、その後 Hologres でテーブルのデータをクエリする方法を示しています。

   1. データベースのデータ暗号化を有効にします。

      ALTER DATABASE hoxxxx set hg_experimental_encryption_options=
      'AES256,623c26ee-xxxx-xxxx-xxxx-91d323cc4855,AliyunHologresEncryptionDefaultRole,187xxxxxxxxxxxxx';

   2. データベースにテーブルを作成し、テーブルにデータを書き込みます。

      DROP TABLE IF EXISTS a;
      
      CREATE TABLE a(id int);
      
      INSERT INTO a values(1);
      
      SELECT hg_admin_command('flush'); -- この文はテスト専用です。この文により、クエリ結果がすぐに表示されます。

   3. データをクエリします。

      SELECT * FROM a;

      次の図にクエリ結果を示します。

   KMS を無効にして Hologres インスタンスを再起動すると、テーブル a のデータをクエリするときにエラーが報告されます。KMS が無効になった後で Hologres インスタンスを再起動しない場合、24 時間以内はテーブル a のデータをクエリできます。24 時間が経過すると、テーブル a のデータをクエリするときにエラーが報告されます。

テーブルのデータ暗号化の構成

Hologres V2.0 以降では、テーブルが属するデータベースのデータ暗号化を有効にした後、テーブルのデータ暗号化ルールを構成できます。これにより、異なるテーブルのデータを暗号化するために異なる KMS キーを使用できます。

テーブルのデータ暗号化ルールの構成

• 使用上の注意:

  • テーブルにデータ暗号化ルールが構成されていない場合、システムは hg_experimental_encryption_options で指定されたデータ暗号化ルールを使用してテーブル内のデータを暗号化します。

  • テーブルのデータ暗号化ルールは、テーブルを作成するときにのみ構成できます。

• 構文:

  CALL SET_TABLE_PROPERTY('<table_name>', 'encryption_options', '<encryption_type>,<cmk_id>,<ram_role>,<uid>');

  次の表に、上記の構文のパラメーターを説明します。

  パラメーター	説明
  table_name	データ暗号化ルールを構成するテーブルの名前。
  encryption_type	データの暗号化に使用する暗号化アルゴリズム。有効な値: AES-256、AES-CTR、および RC4。
  cmk_id	CMK の ID。KMS コンソールの CMK 詳細ページで CMK の ID を取得できます。
  ram_role	Hologres に割り当てられている RAM ロール。
  uid	Alibaba Cloud アカウントの ID。詳細については、「アカウント ID」をご参照ください。

• 例:

  lineitem という名前のテーブルを作成し、テーブルに AES-256 暗号化アルゴリズムと CMK 623c26ee-xxxx-xxxx-xxxx-91d323cc4855 を構成します。

  BEGIN;
  CREATE TABLE LINEITEM
  (
      L_ORDERKEY      BIGINT      NOT NULL,
      L_PARTKEY       INT         NOT NULL,
      L_SUPPKEY       INT         NOT NULL,
      L_LINENUMBER    INT         NOT NULL,
      L_QUANTITY      DECIMAL(15,2) NOT NULL,
      L_EXTENDEDPRICE DECIMAL(15,2) NOT NULL,
      L_DISCOUNT      DECIMAL(15,2) NOT NULL,
      L_TAX           DECIMAL(15,2) NOT NULL,
      L_RETURNFLAG    TEXT        NOT NULL,
      L_LINESTATUS    TEXT        NOT NULL,
      L_SHIPDATE      TIMESTAMPTZ NOT NULL,
      L_COMMITDATE    TIMESTAMPTZ NOT NULL,
      L_RECEIPTDATE   TIMESTAMPTZ NOT NULL,
      L_SHIPINSTRUCT  TEXT        NOT NULL,
      L_SHIPMODE      TEXT        NOT NULL,
      L_COMMENT       TEXT        NOT NULL,
      PRIMARY KEY (L_ORDERKEY,L_LINENUMBER)
  );
  CALL SET_TABLE_PROPERTY('LINEITEM', 'encryption_options', 'AES256,623c26ee-xxxx-xxxx-xxxx-91d323cc4855,AliyunHologresEncryptionDefaultRole,153xxxxxxxxxxxxx');
  COMMIT;

データ暗号化ルールのクエリ

SELECT
    *
FROM
    hologres.hg_table_properties
WHERE
    property_key = 'encryption_options';